2026年9月、個人開発者のPrzemysław氏は、Google Adsに500ドルを投じて自作ツールの広告を出稿した。宣伝したかったのは、自身がRustで開発したmacOS向けのターミナルマルチプレクサ「RACE」だ。ところが、広告費が引き落とされたにもかかわらず、広告が一度も配信されないまま、アカウントが突如システムによって凍結されてしまった。プラットフォーム側が突きつけた容疑は極めて深刻なものだった——「マルウェア」および「侵害されたサイト」。アルゴリズムの審査モデルが、何ら証拠を提示することなく、一人の開発者が丹精込めて育ててきたデジタル資産に一方的な死刑判決を下した瞬間だった。
身の潔白の証明は「終わらない無限ループ」
理不尽な判決を受けたPrzemysław氏は、配信チャネルの総点検を開始した。まずGoogle Safe Browsingを用いてrace-term.comとそのサブドメインをスキャンしたが、リスクは「ゼロ」と判定された。Google自身のセキュリティ防御網が「完全に安全（オールグリーン）」とお墨付きを与えているにもかかわらず、広告審査バックエンドは「サイトがハッキングされている」と判定を下したのだ。社内システム間でデータが整合せず互いに無視し合うこの断絶は、巨大テック企業内部のセキュリティベースラインに大きな歪みが生じている実態を浮き彫りにしている。
続いて彼は、ビルド済みのインストーラーRACE.dmgをVirusTotalにアップロードした。数十種類の主要ウイルス対策エンジンが次々とスキャンを実行したが、検知結果はゼロ。さらにこのアプリケーションはAppleの正規コード署名をパスしているだけでなく、公式の公証（Notarization）チケットも取得済みだった。
図：VirusTotalによるRACEインストーラーのスキャン結果。検出ゼロのオールグリーン。出典：xlii.space
盤石とも言える証拠を揃え、開発者はアカウント停止に対する異議申し立て（アピール）を提出した。しかしGoogleから返ってきたのは、機械的に生成された定型のお断りメールだった。「新たな情報を再提出してください」とだけ書かれ、具体的にコードのどの行が規約に抵触したのかについては一切触れられていない。問題と疑われかねないロジックを削ぎ落としたバージョン1.0.39を提出しても即座にリジェクトされ、それどころかペナルティとして1週間の強制凍結期間が追加される始末だった。自動化システムは申し立ての文面を精査することを拒絶し、ひたすら罰則のレベルを引き上げ、時間と精神的な消耗によって異議申し立て者を門前払いし続ける。
ターミナル管理機能が踏み抜いた「振る舞いのレッドライン」
RACEは、ユーザーが複数のターミナルウィンドウを直感的に配置・リサイズできるターミナルマルチプレクサである。この手のツールにおいて「アプリを再起動してもシェルセッションが生き残る」機能を実現するためには、ソフトウェアがバックグラウンドで自律的に子プロセスを起動し、それを管理し続ける必要がある。システムプログラミングの視点に立てば、このプロセス管理メカニズムは極めて標準的かつ一般的な実装パターンにすぎない。
しかし、文脈を解さない自動審査スクリプトの視野に入った途端、正規ツールの標準的なプロセス制御は「危険な予兆」へと反転してしまう。ソフトウェアがバックグラウンドで密かにシステム権限を持つシェルプロセスを立ち上げ、メモリに常駐する挙動は、皮肉にもトロイの木馬（遠隔操作マルウェア）の典型的な振る舞いパターンと完全に合致してしまうのだ。Googleは日々、個人情報の窃取などを目的とする大量の不正・悪質広告と対峙している。検索結果ページへの脅威侵入を遮断するため、検知モデルのしきい値は「疑わしきはすべて罰する」極端に厳しいレベルに設定されている。
| 審査視点の比較 | 開発者から見たRACE | Googleセキュリティモデルから見たRACE |
|---|---|---|
| コア動作 | バックグラウンドでシェルセッションを管理し、プロセスプールを維持 | バックグラウンドでプロセスを密かに起動し、システムメモリに常駐 |
| コードの特徴 | 安全で効率的なRustによるOSレベルのAPI呼び出しを採用 | 遠隔操作型トロイの木馬に類似した侵入的振る舞いの特徴を持つ |
| 信頼の根拠 | Apple公式の公証、正規ドメイン認証、アンチウイルス検知ゼロ | 静的な振る舞いパターンを機械的に照合し、ブラックリストに一致 |
| 対話モード | 詳細な調査ログとコンプライアンス証明を提出 | 自動返信テンプレートをループ配信し、人間による介入経路を遮断 |
だが、このような過剰防衛策が本物の攻撃者を防ぐ効果を上げているかと言えば、甚だ疑問だ。一般的なインターネットユーザーは、検索結果の広告枠からマルウェア配布サイトへと誘導される被害に今なお遭い続けている。プロのサイバー犯罪グループは、ドメインの高速ローテーションや実行環境の偽装、大量のアカウント作成を駆使して検閲網を易々とすり抜ける。その一方で、規約を守り真面目にプロダクトを磨き上げる個人開発者ばかりが、大味で粗雑なガバナンスの犠牲となって血を流しているのだ。
アルゴリズムの密室が握りつぶす人的レビューの道
この行き詰まりを打開すべく、Przemysław氏は自力で考えうるあらゆる調査を尽くした。悪質なリダイレクト要求が混入していないかCloudflareのアクセスログを隅々まで洗ったが、怪しい形跡は一切見当たらなかった。さらにはWebフロントエンドのJavaScriptビルド生成物を1行ずつ検証し、依存ライブラリのサプライチェーン攻撃の可能性まで完全に排除した。こうした地道で過酷な記録の数々は、低レイヤーを扱うエンジニアがコードの安全性に対して抱く、誠実な矜持そのものだった。
図：Google Safe Browsingによるドメイン検出レポート。セキュリティ上の問題は検出されず。出典：xlii.space
しかし、それらの調査レポートを異議申し立てフォームから送信しても、まるで深淵に小石を投げ込むかのようだった。Googleの人間のサポート担当者は亡霊の如く、一度たりとも対話の場に姿を現さなかった。硬直化した機械モデルが、個人のデジタルビジネス資産に対する絶対的な生殺与奪の権を握り、自らが出力した確率ラベルのみを信奉して、外部からのクロスバリデーション（相互検証）結果には目もくれない。まさにカフカ的な不条理劇がそこにあった。開発者はマルウェアの配布者として告発されながら、全項目シロであることを証明する証拠を読んでくれる生身の人間を、どこにも見つけられないのだ。
コミュニティへの告発が唯一の突破口となった現実
万策尽きたPrzemysław氏は、この一部始終をブログ記事にまとめ、Hacker Newsに投稿した。記事の冒頭には、旧ソ連時代の有名な小咄が引用されていた。「モスクワの赤の広場で車が無料で配られているという噂を聞いた。だが実際は、サンクトペテルブルクの革命広場で自転車が盗まれただけの話だった」。この皮肉な比喩は、広告アカウント凍結の不条理さを鮮烈に暴いていた。システムが突きつけた大層な容疑を一つずつ解体してみれば、客観的な事実に耐えうるものは何一つ存在しなかったのだ。この投稿は世界中の開発者の強い共感を呼び、わずか半日でトップトレンド入りを果たし、ブラックボックス化した審査メカニズムを糾弾するコメントが数百件も殺到した。
事態の好転は、あまりにも唐突かつ無機質に訪れた。記事がHacker Newsのトップページに留まり激しい議論を巻き起こしている最中、あれほど頑として開かなかったGoogle Adsのアカウントが、突如として何事もなかったかのように凍結解除されたのだ。審査チームからは、何が規約違反とみなされていたのかの説明もなければ、誤認についての謝罪や公式見解も一切なかった。数週間にわたって開発者を苦しめたあの「死刑判決」など、最初からハードディスクのどこにも記録されていなかったかのように。この幕引きは、巨大テック企業が推し進める大規模自動化ガバナンスの冷酷な実態を白日の下に晒した。
審査モデルが正規のソフトウェアを悪質コードと誤認したとき、システムは自ら証拠を開示することもなく、人間のレビュアーを割り当てることもしない。個人開発者がどれほど完璧な安全スキャンレポートを揃えようとも、データベースにハードコードされた遮断ロジックを覆すことは不可能なのだ。閉ざされたアルゴリズムの法廷において、世論の大きなうねりを巻き起こして炎上させることだけが、機械の独裁に立ち向かい、人間を振り向かせる唯一有効な「申し立てボタン」になってしまっている。
参考リンク：
- xlii.space 記事
- HN 議論 (item?id=49624856)
